Visualización de información sobre las detecciones de Análisis de causas raíz

Puede ver la información sobre las detecciones de Análisis de causas raíz en un widget y en una tabla. El widget muestra hasta 10 archivos detectados y la tabla muestra hasta 1000 detecciones.

Widget de Análisis de causas raíz

Para ver el widget de Análisis de causas raíz, haga lo siguiente:

1. Abra la Consola de administración de Kaspersky Next.
2. En la sección Panel de información, haga clic en la pestaña Supervisión.
3. Si Análisis de causas raíz está deshabilitado, comience a usar la función.

El widget muestra la información solicitada.

En el widget que se muestra, puede hacer lo siguiente:

• Propiedades del dispositivo en el que se produjo una detección.
• Gráfico de la cadena de desarrollo de la amenaza, para realizar un análisis de causas raíz del ataque.
• Tabla con las detecciones de Análisis de causas raíz.

Tabla de Análisis de causas raíz

Para ver la tabla con las detecciones de Análisis de causas raíz, haga lo siguiente:

1. Abra la Consola de administración de Kaspersky Next.
2. Abra la ventana Detecciones de Análisis de causas raíz de cualquiera de las siguientes maneras:
   • En la sección Panel de información, haga clic en la pestaña Supervisión y, luego, en el enlace Ir a la lista de detecciones en el widget de Análisis de causas raíz.
   • Seleccione la sección Administración de la seguridad → Análisis de causas raíz.
3. Si Análisis de causas raíz está deshabilitado, comience a usar la función.

   La tabla muestra la información solicitada.

4. Para filtrar los registros mostrados, seleccione los valores requeridos en las listas desplegables:
   • Detectado el

     El período durante el cual ocurrieron las detecciones.

   • Estado

     Si los objetos detectados se trataron o no se trataron (eliminado).

En la tabla que se muestra, puede hacer lo siguiente:

• Propiedades del dispositivo en el que se produjo una detección.
• Configuración del perfil de seguridad que se asigna al usuario propietario de un dispositivo afectado.
• Gráfico de la cadena de desarrollo de la amenaza, para realizar un análisis de causas raíz del ataque.

Además, puede exportar información sobre todas las detecciones actuales a un archivo CSV.

Visualización de un gráfico de la cadena de desarrollo de la amenaza

Puede ver un gráfico de la cadena de desarrollo de la amenaza para cada detección que Análisis de causas raíz realizó y que se muestra en un widget o en una tabla.

Un gráfico de cadena de desarrollo de la amenaza es una herramienta para analizar la causa raíz de un ataque. El gráfico proporciona información visual sobre los objetos involucrados en el ataque, por ejemplo, procesos en un dispositivo administrado, conexiones de red o claves de registro.

Para ver un gráfico de la cadena de desarrollo de la amenaza:

1. Diríjase al widget o a la tabla de Análisis de causas raíz.
2. En la línea requerida, haga clic en Examinar.

Se abre la ventana Detalles de la detección de Análisis de causas raíz. La ventana contiene un gráfico de la cadena de desarrollo de la amenaza e información detallada sobre la detección.

Un gráfico de la cadena de desarrollo de la amenaza muestra los siguientes tipos de objetos:

• Proceso
• Archivo
• Conexión de red
• Clave de registro

Se genera un gráfico de acuerdo con las siguientes reglas:

1. El punto central de un gráfico es un proceso que cumple con cualquiera de las siguientes reglas:
   • Si la amenaza se detectó en un proceso, es este.
   • Si la amenaza se detectó en un archivo, es el proceso que creó este archivo.
2. Para el proceso que se menciona en la regla 1, el gráfico muestra hasta dos procesos principales. Un proceso principal es el que generó o modificó un proceso secundario.
3. Para el proceso que se menciona en la regla 1, el gráfico muestra todos los demás objetos relacionados: archivos creados, procesos secundarios creados y modificados, conexiones de red organizadas y claves de registro modificadas.

Cuando hace clic en cualquier objeto de un gráfico, el área a continuación muestra información detallada sobre el objeto seleccionado.

Si hace clic en un vínculo en los campos SHA256, MD5, Dirección IP o URL en la información detallada sobre un archivo, se lo dirige a Kaspersky Threat Intelligence Portal https://opentip.kaspersky.com/. El portal reúne todo el conocimiento que Kaspersky ha adquirido sobre ciberamenazas en un único servicio web. Le permite verificar cualquier indicador de amenaza sospechosa, ya sea un archivo, hash de archivo, dirección IP o dirección web.

Principio de página

Ejemplo de análisis de un gráfico de cadena de desarrollo de la amenaza

Esta sección contiene un ejemplo de un gráfico de cadena de desarrollo de la amenaza y cómo puede usarlo para analizar un ataque a los dispositivos de sus usuarios.

Consideremos un ataque mediante el uso de un mensaje de correo electrónico de phishing que contiene un archivo adjunto. El archivo adjunto es un archivo ejecutable.

El usuario guarda y ejecuta el archivo en su dispositivo. Kaspersky Endpoint Security para Windows detecta el tipo de objeto malicioso detectado.

Una detección en Kaspersky Endpoint Security para Windows

El widget de Root-Cause Analysis muestra hasta diez detecciones.

Widget de Análisis de causas raíz

Si hace clic en el enlace Examinar en la línea requerida del widget, puede continuar a un gráfico de la cadena de desarrollo de la amenaza.

Un gráfico de cadena de desarrollo de la amenaza

El gráfico de la cadena de desarrollo de la amenaza le proporciona información sobre la detección, por ejemplo: acciones que ocurrieron en el dispositivo durante la detección, categoría de la amenaza que se detectó, origen del archivo (en este ejemplo, un correo electrónico) y usuario que descargó el archivo (en este ejemplo, un administrador). Además, el gráfico de cadena muestra que se crearon archivos adicionales en el dispositivo, que se establecieron varias conexiones de red y que se cambiaron algunas claves de registro.

Con base en esta información, puede hacer lo siguiente:

• Verifique la configuración del servidor de correo.
• Agregue el remitente del mensaje de correo electrónico a la lista de denegación (si el remitente es externo), o diríjase a él o ella directamente (si el remitente es interno).
• Compruebe si otros dispositivos se han conectado a las mismas direcciones IP.
• Agregue estas direcciones IP a la lista de denegación.

Si hace clic en un vínculo en los campos SHA256, MD5, Dirección IP o URL en la información detallada sobre un archivo, se lo dirige a Kaspersky Threat Intelligence Portal https://opentip.kaspersky.com/. El portal muestra que el archivo detectado no es una amenaza ni un archivo conocido.

Portal de inteligencia de la amenaza de Kaspersky

Este ejemplo muestra la importancia de la función Análisis de causas raíz. El archivo principal del archivo detectado no es de confianza, pero no es malicioso. Significa que Kaspersky Endpoint Security para Windows no lo ha detectado. Este archivo todavía está presente en el dispositivo y dentro de la organización. Si la organización tiene dispositivos en los que algunos componentes de protección están deshabilitados (por ejemplo, Detección de comportamiento) o en los que las bases de datos antimalware no están actualizadas, la actividad maliciosa del archivo principal no se detectará y los delincuentes podrían tener la oportunidad de penetrar en la infraestructura de su organización.